Web 已成为备受瞩目的攻击媒介，而 Web 安全对于确保企业的业务安全至关重要。
如今黑客行为是一个公认的行业，而犯罪企业比以往任何时候都更加复杂且联系更加紧密。攻击一直在不断变化，其破坏力正变得越来越大，而且更加难以检测。
一、当今一些最危险的基于 Web 的威胁包括：
1.“水坑”攻击，可利用恶意软件感染受信任的网站来危害最终用户。
2.鱼叉式网络钓鱼，不法分子诱骗一个特定的用户，并引诱 他们点击有害链接。
3.下载的恶意程序攻击，可转发带有鬼鬼祟祟自删除程序的恶意软件。
二、一个全面的 web安全解决方案，其中必须包含这五项必备要素
1.在攻击前、中、后提供全程保护
在今天的威胁的情况下，安全边界已经扩展到云中，数据已经成为主要的攻击目标，网络势必会受到威胁。因此，组织必须使用可被用来在可能的解决方案，以各种各样的攻击源的威胁的任何地方运行的解决方案：网络、终端设备、移动设备、和虚拟环境。
2.灵活的部署选项
为了真正有效，值得信赖的安全解决方案必须与现有基础架构集成，并减少了对“一键切换到”基础设施和技术。它也有必要适应公司的发展和变化，并扩大，从而提供保护的匹配级别。
3.保护敏感数据，并防止其脱离组织的控制
研究表明，该组织可能无法阻止所有的恶意软件进入其网络。然而，现代的内容安全解决方案有助于降低关键数据意外事故的概率，或故意在网络之外。公司需要能够扫描所有入站和出站网络流量的新的和现有的恶意软件，并能够使用基于信誉和行为动态分析来分析每个网站内容的访问。
4.通过可靠的控制来降低风险
今天的组织需要以先进的动态Web内容和应用为所有用户，无论用户所在。
在今天的Web 2.0的世界里，以防止该网站是既不实际也不现实 - 但它可以阻止功能。提供应用可视性和可控的内容安全解决方案可以帮助管理员创建和实现包含嵌入式应用站点内的详细战略，并不会影响到员工的工作效率或增加IT资源的负担。
复杂的内容安全解决方案，不仅识别该应用程序，但也确定微应用及其分类，管理员可以容易地允许或拒绝访问应用程序的相关部分。
5.快速识别零日攻击并进行补救
威胁比以往任何时候都更加动态和高级了。恶意软件变得越来越复杂，难以捉摸。和有针对性的攻击，他们执行任务的日益猖獗，固执地藏身之地。
要确定就需要大量的数据分析，零日攻击，可以检查用户和流量的数据随着时间的推移和识别可疑行为。
如果威胁防御的第一道防线被识别，该组织需要有追溯，从而扭转时间并消除恶意软件在所有受感染的设备的能力。
三、应用web安全网页防篡改软件
网页篡改是指不法攻击者在用户访问网页时通过网络中间人攻击、恶意代码注入等方式，对服务器上的网站程序或者文件进行了非法修改，从而改变原始网页的内容的一种攻击。此外，他还可以劫持客户端的HTTP或者HTTPS网络请求，并将受攻击客户端用户重定向到篡改网页上去。
网页篡改可以分为两大类：一是客户端攻击，即请求违规链接或执行恶意JAVAscript脚本；二是服务端攻击，也就是说，黑客可以通过在网站服务器上执行恶意代码，来获取服务器上的网页文件，并进行篡改。
客户端攻击：当一个不良用户实施网页篡改时，通常会要求客户端访问者在浏览的网页上打开特定的链接。此外，他还可以利用计算机病毒或恶意软件，注入恶意的漏洞脚本，从而篡改客户端的网页内容。
服务端攻击：服务端攻击通常使黑客在服务器端执行恶意指令，修改网站文件，更改网站功能或插入新的网页内容。服务端攻击还可以用来获取服务器上敏感信息，包括服务器密码、数据库信息、账户凭证和机密文件等。
针对网页篡改的防御：
1、应用安全测试。因为网页篡改多是由恶意代码带来的，而恶意代码的进入最常用的方式就是通过漏洞的攻击，所以应该在应用开发完成后，用专业的安全测试技术来检测应用是否含有任何漏洞。
2、专业建站。在使用网站时，应使用专业的建站工具，如用JSP、ASP等服务器端脚本语言建站时，要使用框架（如struts、lucene等），同时应锁定框架的安全隐患。
3、使用可信的网关。可信的网关如firewall等，可以在数据进入服务器前，筛选其中的非法数据，阻止来自不安全源的数据攻击。
4、充分保护日志。这是因为网页篡改的诊断和分析最重要的步骤之一就是通过网站日志分析，所以必须加强网站日志的安全，充分保护日志把控系统，避免网页篡改所造成的损失。
四、市场上网页防篡改产品的技术分析
防篡改产品 最早期的技术为外挂轮询技术，即通过一个程序不断逐个去检查文件是否有变化。会大量持续占用系统资源。技术已经被淘汰，不建议中型以上网站使用。
事件触发技术作为防篡改的一种技术方式，是对文件状态的一种监控技术。相对来说事件触发技术在监控进程存在的情况下能阻止篡改行为。
核心内嵌技术作为防篡改的另一种技术方式是对于文件出口的检测。对一些小众化的web应用中间件可能存在兼容问题。
内核驱动技术 作为目前防篡改的新兴技术 其技术核心就是模拟驱动程序监测文件系统的变化 把文件操作事件独立出来进行限制和阻断。针对的目标为文件入口，优点是独立于系统之外，更难以绕过。
目前通过国家GB/T 29766 产品还在使用的技术大部分为事件触发 II、III、核心内嵌和内核驱动 技术 部分基础级产品有使用外挂轮询技术的。
京公网安备 11010802035086号